Ex-funcionário ainda tem acesso ao e-mail da empresa: o que fazer e como evitar

Esse chamado quase nunca chega como problema de TI. Chega como susto. O dono descobre que alguém que saiu há meses ainda recebe e-mail da empresa no celular, ou que o antigo vendedor entrou no sistema de pedidos na semana passada. Eu resolvo esse tipo de situação com frequência, e o padrão se repete: o desligamento foi feito no RH, mas ninguém avisou a TI.

Como o dono da empresa percebe

Quase sempre é por acaso. Um cliente responde um e-mail antigo e a resposta cai na caixa do ex-funcionário, que ainda está configurada no celular dele. Ou o financeiro vê um login estranho num relatório do sistema. Ou um ex-colega comenta que ainda recebe as mensagens do grupo da empresa. Em casos piores, o aviso vem de fora: um fornecedor recebe um pedido que ninguém da empresa fez.

O que me chama atenção nesses chamados é que o acesso raramente foi deixado de propósito. Na maioria das vezes a pessoa saiu em bons termos e nem percebeu que o e-mail continuava funcionando no celular. Mas a empresa não pode contar com isso. Um aparelho perdido, um ex-funcionário insatisfeito ou uma senha reaproveitada em outro site viram risco real.

• E-mail da empresa ainda sincronizando no celular ou notebook pessoal da pessoa
• Login no sistema de gestão, ERP ou CRM com o usuário antigo
• Acesso ao WhatsApp Business da empresa pelo celular pessoal
• Senha do Wi-Fi, do roteador ou do servidor que a pessoa conhecia e nunca foi trocada
• Pastas do Google Drive ou OneDrive compartilhadas com o e-mail pessoal dela
• Acesso remoto (AnyDesk, TeamViewer) instalado na época do home office

Por que isso acontece

A primeira causa é a falta de um processo. O RH cuida da rescisão e do pagamento, o gestor pega o crachá e o notebook, e a parte digital fica para depois. Como ninguém é o responsável formal por desligar os acessos, ninguém faz.

A segunda causa é não saber onde a pessoa tinha acesso. Em empresa pequena é comum um funcionário acumular contas ao longo dos anos: e-mail, sistema de notas, banco, planilha compartilhada, painel da operadora, conta da gráfica. Não existe uma lista. Quando ela sai, bloqueiam o e-mail e esquecem o resto.

A terceira causa é a senha compartilhada. O financeiro inteiro usa a mesma senha do sistema do contador. A equipe comercial usa um único login no CRM. Quando alguém sai, trocar essa senha dá trabalho, incomoda quem ficou, e acaba sendo adiado. Falo mais sobre esse risco na página de segurança digital para empresas.

A quarta causa é o celular pessoal. O e-mail da empresa foi configurado no aparelho do funcionário anos atrás. Mesmo que a senha seja trocada depois, alguns aplicativos continuam com a sessão aberta por um tempo, e o aviso de erro passa despercebido.

O que eu faço quando esse chamado chega

A primeira coisa que eu olho é se existe atividade recente nas contas da pessoa. Antes de bloquear qualquer coisa, eu quero saber se houve login depois da data de saída e de onde veio. Isso muda a conversa: um acesso esquecido pede limpeza; um acesso usado de propósito pede registro e, às vezes, orientação jurídica.

Depois eu sigo uma ordem. O que o dono da empresa consegue fazer sozinho, com calma, é isto:

1. Faça uma lista de tudo em que a pessoa tinha acesso. Pergunte ao gestor direto e a quem trabalhava junto. Inclua e-mail, sistemas, bancos, redes sociais da empresa, WhatsApp Business, drives compartilhados, Wi-Fi e acesso remoto.
2. Bloqueie o e-mail, não apague. No Microsoft 365 ou no Google Workspace existe a opção de suspender ou bloquear o login. Isso derruba a sessão em todos os aparelhos e preserva as mensagens para a empresa.
3. Redirecione o e-mail para o gestor ou configure uma resposta automática informando o novo contato. Cliente que escreve para a pessoa precisa ser atendido.
4. Troque toda senha que a pessoa conhecia e que é compartilhada: sistema do contador, banco, CRM, painel do site, Wi-Fi da empresa.
5. Remova o usuário dela nos sistemas que têm login individual. Se o sistema não permite remover, desative ou troque a senha e a pergunta de recuperação.
6. Confira os compartilhamentos de pastas no Drive ou OneDrive. Procure pelo e-mail pessoal dela e remova o acesso.
7. Verifique o celular corporativo, se houve. Faça a redefinição de fábrica antes de passar para outra pessoa.
8. Anote o que foi feito e a data. Esse registro vale muito se a situação virar questão trabalhista ou de LGPD.

O que eu faço além disso, e que não recomendo fazer sem técnico, é a parte do servidor e da rede: remover a conta do domínio, revogar certificados, checar se existe acesso remoto cadastrado em nome da pessoa e revisar quem tem permissão nas pastas de rede. Também confiro os registros de login dos últimos meses para fechar o caso com clareza. Para empresa que usa Microsoft 365, isso faz parte do serviço que descrevo em Microsoft 365 para empresas.

Como evitar que volte a acontecer

A solução é tratar o desligamento digital como parte do desligamento, com um responsável e um checklist. Não precisa de ferramenta cara. Precisa de combinado.

• Defina quem avisa a TI quando alguém sai. Pode ser o RH, pode ser o próprio dono. O importante é que o aviso aconteça no mesmo dia, de preferência antes do último expediente.
• Mantenha uma lista de acessos por função. Quando entra um vendedor, ele recebe os acessos da lista de vendedor. Quando sai, a mesma lista diz o que bloquear.
• Acabe com as senhas compartilhadas aos poucos. Cada pessoa com seu próprio login. Onde o sistema só aceita um usuário, use um gerenciador de senhas que permita trocar a senha sem avisar todo mundo.
• Ative a verificação em duas etapas no e-mail e nos sistemas principais. Com ela, saber a senha não basta para entrar.
• Separe o que é da empresa do que é da pessoa. E-mail corporativo em celular pessoal exige regra clara e, se possível, controle que permita apagar os dados da empresa remotamente.
• Faça uma revisão de acessos de tempos em tempos. Puxe a lista de usuários de cada sistema e pergunte: essa pessoa ainda trabalha aqui?

Em empresas que atendo com suporte contínuo, esse processo roda como chamado padrão: o gestor abre o pedido de desligamento, a equipe de suporte executa a lista e devolve o relatório do que foi bloqueado. É um dos benefícios menos falados de ter help desk terceirizado: a rotina chata acontece sem depender da memória de alguém.

Quando chamar um técnico

Dá para o dono fazer a parte visível sozinho: bloquear e-mail, trocar senhas conhecidas, remover compartilhamentos. Mas há situações em que eu recomendo não tentar resolver por conta própria.

• Houve acesso depois da saída e a empresa precisa saber o que foi visto, baixado ou enviado.
• A pessoa era administradora de algo: do e-mail, do servidor, do site, do roteador. Quem tem esse nível de acesso pode ter criado outras contas.
• A empresa tem servidor próprio ou domínio Windows, onde a conta da pessoa pode estar ligada a serviços e pastas.
• Existe acesso remoto instalado nas máquinas e ninguém sabe quem configurou.
• O desligamento foi conflituoso e pode virar disputa judicial. Nesse caso o registro técnico precisa ser feito com cuidado.

Nesses casos o técnico vai além do bloqueio. Ele fecha as portas que o leigo não vê, documenta o que encontrou e ajusta a estrutura para que o próximo desligamento seja tranquilo.

Fale com a VNC TEC

Se você descobriu um acesso que não devia existir, ou quer montar um processo de desligamento antes que isso aconteça, posso ajudar. A VNC TEC atende pequenas e médias empresas em São Paulo há mais de dez anos, com suporte e segurança de TI no dia a dia. Entre em contato e conte a situação. Resolvemos a urgência primeiro e depois organizamos para não voltar.

Perguntas frequentes